EMudhra

thumb|証明書のブランド名として使用されるemSignのロゴ eMudhra Limitedは、2008年に設立されたインドの認証局である。2026年現在、同社は6,000万以上のデジタル証明書を発行している。

2026年10月21日、同社の8つの中間証明書の秘密鍵が極めて脆弱であることが判明し、ウェブブラウザベンダーがこれらの証明書をブロックする事態となった。この事態を受け、SSL証明書事業から撤退することを決定した。

歴史

2026年、eMudhraはLankaSignとの提携を開始した。

2026年、SSL証明書事業から撤退すると発表。

2026年の中間証明書侵害

2026年10月17日、ブラウザの開発元は、eMudhraの8つの中間証明書の秘密鍵が侵害されたという報告を受けた。

秘密鍵は、4、56、66、115、155、156、230、および237であった。P-384の楕円曲線暗号の秘密鍵は、通常約384ビットのエントロピーを持つが、これらの鍵は3から8ビットしか持っていなかった。情報セキュリティ研究者のスコット・ヘルム（Scott Helme）は、証明書の公開鍵からいくつかの秘密鍵を1秒未満で復元したと述べた。公開された証明書から鍵を復元できたため、ブラウザが信頼するあらゆるウェブサイトの証明書を発行するために、誰でもこれらの鍵を使用できた可能性がある。2026年10月20日現在、脆弱な鍵が生成された原因は特定されていない。

Google ChromeとFirefoxは報告から数時間以内に証明書をブロックした。続いて10月19日にAppleが、10月20日にマイクロソフトが同様の措置を取った。eMudhraはこれら8つの証明書を失効させた。10月20日、Firefoxの開発元であるMozillaはそれらを発行したルート証明書である「emSign ECC Root CA – G3」をNSSから削除し、10月21日にGoogleは10月27日の朝までにChromeのルートストアからも当該ルート証明書を削除すると発表した。多くのLinuxディストリビューション、組み込みデバイス、アプリケーションが独自のルート証明書のコピーを同梱しているため、このクリーンアップには長い時間がかかると予想されている。

10月21日、eMudhraはこのインシデントに関する公式声明を発表した。Aadhaarの発行元であるUIDAIや所得税ポータルなど、多くのインド政府のウェブサイトが証明書としてeMudhraを使用していた。eMudhraの証明書が失効したことにより、インド食品安全基準局（FSSAI）やケーララ州の高等教育局などの政府機関のウェブサイトを含む、いくつかのウェブサイトがアクセス不能となった。

EMudhra

Źródło i licencja